本期检索范围： 2026-08-31—2026-09-01

本期共筛选出 9 项。最明显的趋势是研究重心从“让模型识别恶意指令”转向可验证的外部策略执行、来源追踪和能力门控，同时长上下文注入、恶意工具泄露与自适应防御成为新的评测重点。本期没有论文版本更新或项目重大更新；发现 ROPE、CAITLYN 与 CamoDocs 三个值得单独跟进的新代码仓库，均已与对应论文合并收录。

1. Recognition Without Enforcement: Configuration-Dependent Failures in LLM Agent Instruction Arbitration and External Control

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Jun Wen Leong
  • 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）
  • 链接： 论文
  • 核心内容： 论文区分了对伪造权威的“识别”与在工具执行阶段真正“强制拒绝”之间的缺口：模型可以解码来源特征并指出冲突，却仍会在部分配置中发起工具调用。作者在多供应商实验中定位到可复现的失败单元，并实现由认证来源路由、能力门控工具与外部 reference monitor 组成的控制面；该控制面拒绝了实验中的伪造、篡改、重放与未签名请求，且自适应红队发现的一处时钟偏差缺陷随后得到修补。
  • 与你的方向关系： 这直接连接 Agent Security、Prompt Injection 与 capability / permission control，说明仅靠模型内 instruction hierarchy 不能构成可靠安全边界；对 harness 设计而言，关键比较对象应是外部强制机制，而不只是模型是否“看懂”攻击。
  • 建议： 精读。优先核对识别—执行错位的测量方法、配置敏感性，以及 reference monitor 的信任假设和重放防护。

2. ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv · GitHub
  • 作者 / 维护者： Xinhang Ma、Chaowei Xiao、William Yeoh、Ning Zhang、Yevgeniy Vorobeychik
  • 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-27）
  • 链接： 论文 · 代码
  • 核心内容： ROPE 把敏感工具参数的准入绑定到不可伪造的来源：值必须可追溯到用户、用户明确指定的来源或用户的权威记录；执行时由确定性的来源检查器判定，LLM 只处理不受攻击者控制的可信用户请求。论文给出来源安全与改写不变性的保证，并在四种 Agent 模型上将攻击成功率控制在 1.6%–2.6%，同时保留未防御系统 82%–100% 的干净任务效用；官方仓库提供实现与实验日志。
  • 与你的方向关系： 这是 indirect prompt injection、information-flow control 与 tool-use security 的直接交叉点，也为 Agent harness 中“参数级 provenance + 外部执行策略”提供了可实现基线。
  • 建议： 精读。重点比较其来源标签传播、敏感参数审计范围与长轨迹下的完整性假设，并尝试复现实用性—安全性的权衡。

3. ContextLeak: Exfiltrating LLM Agent Context via Malicious Tools

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yuqi Jia、Ruiqi Wang、Patrick Li、Yuepeng Hu、Peinian Li、Neil Zhenqiang Gong
  • 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）
  • 链接： 论文
  • 核心内容： ContextLeak 研究恶意工具如何同时诱导 Agent 选择该工具，并把用户提示、执行轨迹和工具列表等运行时上下文作为参数交给它。方法用攻击 LLM 生成工具名称与描述，再基于多样化影子用户上下文进行强化学习微调和专用泄露奖励优化；论文报告该攻击在影子用户与受害者分布明显不同时仍有效，并优于为该场景改造的既有恶意工具攻击。
  • 与你的方向关系： 工作直击 tool-use security、Agent privacy 与上下文外泄，补足了恶意工具研究中常被忽略的“敏感上下文如何进入工具参数”这一环。
  • 建议： 精读。建议把其威胁模型与工具 schema、参数最小化、污点追踪及出站网络控制逐项对照，评估现有 harness 的真实泄露面。

4. CAITLYN: Can LLM Agents Autonomously Synthesize Defenses against Emerging Injection Attacks?

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv · GitHub
  • 作者 / 维护者： Zi Liang、Xiaoyu Xu、Yanyun Wang、Minxin Du、Qingqing Ye、Haibo Hu
  • 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）
  • 链接： 论文 · 代码
  • 核心内容： CAITLYN 采用双系统防御：System I 以低成本规则脚本和按需 LLM 检查分层处理常见攻击，System II 监测异常并自动合成、验证和保留新的防御技能。论文报告其在标准基准上以较低 token 开销达到有竞争力的效果，并在新建 Emerging 基准上显著降低三种 Agent 的攻击成功率；官方仓库含可运行中间件、防御技能库、攻击实现、Agent 集成与评测代码。
  • 与你的方向关系： 它同时覆盖 Prompt Injection、self-improving agents 与 cost-aware harness optimization，把防御从静态过滤器提升为可持续更新的执行组件。
  • 建议： 精读。最值得验证的是自动生成防御的准入测试、失败回滚与技能污染风险，以及两层检查的成本—覆盖率曲线。

5. LongPIBench: A Long-Context Benchmark for Prompt Injection

  • 类型 / 来源： 新论文｜Findings of EMNLP 2026 · arXiv
  • 作者 / 维护者： Yupei Liu、Yuqi Jia、Neil Zhenqiang Gong、Jinyuan Jia
  • 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）
  • 链接： 论文
  • 核心内容： LongPIBench 覆盖论文评审、简历筛选、代码审查和邮件摘要四类真实应用，每类同时构造合成数据与真实数据，输入长度从数千到数万 token。评测显示，短上下文基准会高估现有防御效果；即使简单的启发式注入，在长上下文中也能频繁绕过先进防御。
  • 与你的方向关系： 该基准直接服务 Prompt Injection 与 Agent Security，也揭示 harness 在上下文裁剪、文档分段和跨段策略一致性上的评测盲区。
  • 建议： 精读。适合作为新防御的主要对照集，尤其应检查攻击位置、上下文长度与任务类型是否共同改变防御排序。

6. Layered LLM Defenses as an Ensemble: Access Tiers, Inference Cost, and Measured Failure Correlation

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Abrar Alotaibi、Muhammad Shahid Jabbar、Sadam Al-Azani、Moataz Ahmed
  • 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）
  • 链接： 论文
  • 核心内容： 论文用访问层级 A0–A4 与推理开销类别统一描述七层 LLM 防御栈，并实测不同层的失败相关性。十五个可测防御对全部呈正相关，φ 系数为 0.30–0.75；因此独立失败假设会系统性低估组合残余风险，而完整防御栈还拒绝了五个良性提示中的四个，效果与最强单层在统计上无法区分。
  • 与你的方向关系： 这为 LLM Security 与 cost-aware harness optimization 提供了重要反例：增加层数不等于增加独立安全收益，控制器应依据相关失败模式和边际效用调度防御。
  • 建议： 精读。重点看相关性估计、良性样本规模及层间顺序效应；这些因素会直接影响多层安全架构的成本论证。

7. CamoDocs: A Poisoning Attack Against Retrieval-Augmented Language Models Using Camouflaged Documents

  • 类型 / 来源： 新论文 + 新代码仓库｜EMNLP 2026 · arXiv · GitHub
  • 作者 / 维护者： Jaewon Jung、Haizhong Zheng、Hongsun Jang、Jaeyong Song、Beidi Chen、Jinho Lee
  • 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）
  • 链接： 论文 · 代码
  • 核心内容： CamoDocs 不要求在投毒文档中直接包含目标查询，而是先合成良性与对抗性草稿，再分块替换选定 token 以分散检索表示，并通过连贯性过滤保留自然文本。论文在七种防御、三种开源模型和三个基准上评估，并报告在专有模型上仍有较高攻击成功率；官方仓库包含生成、评测、配置、示例数据和结果工件，而非仅有 README。
  • 与你的方向关系： 该工作连接 RAG poisoning、indirect prompt injection 与语义检索安全，提醒 Agent memory / knowledge base 的入口控制不能只依赖关键词或查询重合。
  • 建议： 浏览。优先研究其“语义伪装”机制与 TrustRAG 类防御的效用损失，作为记忆投毒或检索净化工作的攻击基线。

8. Offline-Verifiable Accountability for Cross-Organization Agent Messaging

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Adil Alshammari、Hayretdin Bahsi
  • 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）
  • 链接： 论文
  • 核心内容： 论文为跨组织 Agent 消息设计可离线验证的证据包，组合发送者认证、认证日志承诺、见证检查点、追加连续性、委托感知授权与接收方签名回执。原型评测覆盖 300 个工作流、1,200 个有效证据包；论文报告所有被破坏或策略证据不足的包均被拒绝，未出现误接受。
  • 与你的方向关系： 这直接对应 multi-agent security、delegation 与跨域权限控制，为无法共享在线控制面的 Agent 协作提供审计和追责机制。
  • 建议： 浏览。重点确认离线验证覆盖的攻击边界、密钥撤销与日志分叉处理，并评估其能否嵌入现有 Agent message bus。

9. Not to Break, but to Attest: Adversarial Probes for Privacy-Preserving LLM Verification

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Cameron Wilding、Mina Shaker、Fatemeh Ganji
  • 日期： 2026-08-31（arXiv 公布；初稿提交于 2026-08-28）
  • 链接： 论文
  • 核心内容： 论文提出结合对抗性 probe 与 zk-SNARK 的部署完整性审计框架，在不公开专有模型权重的前提下放大获批模型与被修改部署之间的 logit 漂移。作者比较 token、embedding 与 stress probe，并用 Groth16 展示从 1 到 50 个 probe 时证明生成约由 1.02 秒增至 1.78 秒、验证约维持 0.84 秒且证明大小恒定。
  • 与你的方向关系： 工作连接 LLM Security & Privacy、供应链完整性与可验证执行，可作为远程 Agent 后端是否被替换或篡改的隐私友好型证明层。
  • 建议： 收藏。适合跟踪其对量化、微调和随机推理的误报敏感性，以及如何与 Agent harness 的版本证明和策略证明结合。

今日优先阅读

优先阅读 Recognition Without Enforcement、ROPE 与 ContextLeak。前两项共同影响一个关键系统设计判断：模型内的指令识别不能替代来源可验证、能力受限的外部执行控制；ContextLeak 则补上恶意工具如何把完整运行时上下文转化为参数并外泄的攻击链，可直接指导工具 schema、数据流追踪和出站权限设计。